如果客户端请求缓存已存储的内容，则它会直接返回内容而不连接源服务器。这提高了性能，因为内容缓存更靠近客户端，并且更有效地使用应用程序服务器，因为它们不必每次都从头开始生成页面。...如果客户端请求缓存但是由缓存控制头定义的过期的内容，则 Nginx将 If-Modified-Since 字段包含在 GET 请求的标头中将它发送到源服务器。...X-Cache-Status 在响应客户端时添加 HTTP 标头。...Nginx 如何缓存动态内容 只要 Cache-Control 标头允许。即使在很短的时间内缓存动态内容也可以减少原始服务器和数据库的负载，从而缩短第一个字节的时间，因为不必为每个请求重新生成页面。...如果文件未缓存，或者文件过时，Nginx 会从原始服务器下载整个文件。 如果请求是针对单个字节范围的，则 Nginx 会在下载流中遇到该范围后立即将该范围发送到客户端。
首先客户端发起一个 HTTP 请求，不带有任何认证标头，服务器对此 HTTP 请求作出响应，发现此 HTTP 信息未带有认证凭据，服务器通过 www-Authenticate标头返回 401 告诉客户端此请求未通过认证...XMLHttpReqeust 对于开发人员来说很重要，XMLHttpReqeust 对象可以用来做下面这些事情 更新网页无需重新刷新页面 页面加载后从服务器请求数据 页面加载后从服务端获取数据 在后台将数据发送到服务器...使用 XMLHttpRequest(XHR) 对象与服务器进行交互，你可以从 URL 检索数据从而不必刷新整个页面，这使网页可以更新页面的一部分，而不会中断用户的操作。...缓存过期后客户端重新发起请求，服务器收到请求后发现如果资源没有更改，服务器会发回 304 Not Modified响应，这使缓存再次刷新，并让客户端使用缓存的资源。...如果没有两个用户同时操作服务器，也就不存在这个问题。但是，现实情况是不可能只有单个用户出现的，所以为了规避或者避免这个问题，我们希望客户端资源在更新时进行提示或者修改被拒绝时收到通知。
逐跳标题 这些标头仅对单个传输级连接有意义，并且不得由代理重新传输或缓存。请注意，只能使用Connection常规标头设置逐跳标头。...Warning 有关可能出现的问题的常规警告信息。 客户提示 Section HTTP 客户端提示正在进行中。实际文档可以在HTTP工作组的网站上找到。...Public-Key-Pins-Report-Only 将报告发送到标头中指定的report-uri，即使违反固定，仍允许客户端连接到服务器。...X-Powered-By 可以由托管环境或其他框架来设置，并包含有关它们的信息，而不会为应用程序或其访问者提供任何有用的信息。取消设置此标头，以避免暴露潜在的漏洞。...例如，假设服务器决定确认并实现“升级”标头字段，则此标头标准允许客户端从HTTP 1.1更改为HTTP 2.0。双方均不需要接受“升级标题”字段中指定的条款。可以在客户端和服务器标头中使用它。
想要通过服务器进行身份认证的客户端可以在请求标头字段中添加认证标头进行身份认证，一般的认证过程如下 首先客户端发起一个 HTTP 请求，不带有任何认证标头，服务器对此 HTTP 请求作出响应，发现此 HTTP...信息未带有认证凭据，服务器通过 www-Authenticate标头返回 401 告诉客户端此请求未通过认证。...XMLHttpReqeust 对于开发人员来说很重要，XMLHttpReqeust 对象可以用来做下面这些事情 更新网页无需重新刷新页面 页面加载后从服务器请求数据 页面加载后从服务端获取数据 在后台将数据发送到服务器...使用 XMLHttpRequest(XHR) 对象与服务器进行交互，你可以从 URL 检索数据从而不必刷新整个页面，这使网页可以更新页面的一部分，而不会中断用户的操作。...缓存过期后客户端重新发起请求，服务器收到请求后发现如果资源没有更改，服务器会发回 304 Not Modified响应，这使缓存再次刷新，并让客户端使用缓存的资源。
在HTTP servlet中，此方法设置HTTP Content-Length标头。...参数：len-一个整数，指定要返回给客户端的内容的长度；设置Content-Length标头 void setContentType(String type) 该方法用于设置 Servlet 输出内容的...例如，如果发送到客户端的内容是 jpeg 格式的图像数据,就需要将响应头字段的类型设置为 image/jpeg。...让浏览器定时舒心网页或跳转至其他网页：HTTP协议中定义了一个Refresh头字段，用于高速浏览器多少秒后自动刷新页面。...程序临时在服务器内存中动态产生后再传送到客户端。
HTTP Host 头的作用是什么 HTTP Host 头的作用就是标识客户端想要与哪个后端组件通信。如果请求没有 Host 头或者 Host 格式不正确，则把请求路由到预期的应用程序时会出现问题。...如果服务器隐式信任 Host 标头，且未能正确验证或转义它，则攻击者可能会使用此输入来注入有害的有效负载，以操纵服务器端的行为。...提供一个任意的 Host 头 在探测 Host 头注入漏洞时，第一步测试是给 Host 头设置任意的、无法识别的域名，然后看看会发生什么。...有时，即使你提供了一个意外的 Host 头，你仍然可以访问目标网站。这可能有很多原因。例如，服务器有时设置了默认或回退选项，以处理无法识别的域名请求。如果你的目标网站碰巧是默认的，那你就走运了。...例如，你可能会发现 Host 头在没有 HTML 编码的情况下反映在响应标记中，甚至直接用于脚本导入。反射的客户端漏洞（例如 XSS ）由 Host 标头引起时通常无法利用。
304（未修改） 自从上次请求后，请求的网页未修改过。服务器返回此响应时，不会返回网页内容。...如果网页自请求者上次请求后再也没有更改过，您应将服务器配置为返回此响应（称为 If-Modified-Since HTTP 标头）。...411（需要有效长度） 服务器不接受不含有效内容长度标头字段的请求。 412（未满足前提条件） 服务器未满足请求者在请求中设置的其中一个前提条件。...415（不支持的媒体类型） 请求的格式不受请求页面的支持。 416（请求范围不符合要求） 如果页面无法提供请求的范围，则服务器会返回此状态码。...417（未满足期望值） 服务器未满足”期望”请求标头字段的要求。 5xx（服务器错误） 这些状态码表示服务器在处理请求时发生内部错误。这些错误可能是服务器本身的错误，而不是请求出错。
WWW-AuthenticateBasic 标头会导致浏览器显示用户名和密码提升WWW-Authenticate: Basic 输入凭据后，它们将与每个请求一起发送到标头中：Authorization:...流程 未经身份验证的客户端请求受限资源 服务器生成一个名为 nonce 的随机值，并发回 HTTP 401 未授权状态，其标头的值与 nonce 一起为：WWW-AuthenticateDigestWWW-Authenticate...流程 实施OTP的传统方式： 客户端发送用户名和密码 凭据验证后，服务器生成随机代码，将其存储在服务器端，并将代码发送到受信任的系统 用户在受信任的系统上获取代码，然后将其输入回 Web 应用 服务器根据存储的代码验证代码...，并相应地授予访问权限 TOTP的工作原理： 客户端发送用户名和密码 凭据验证后，服务器使用随机生成的种子生成随机代码，将种子存储在服务器端，并将代码发送到受信任的系统 用户在受信任的系统上获取代码，然后将其输入回...当受信任的设备不可用时会出现问题（电池没电，网络错误等）。因此，通常需要备份设备，这会增加额外的攻击媒介。
请注意，此标头类似于Allow响应标头，但严格在访问控制的上下文中使用。...因此，在所有浏览器都赶上规范之前，您可以通过执行以下一项或两项操作来解决此限制： 更改服务器端的行为以避免预检和/或避免重定向-如果您可以控制服务器，则将请求发送到 更改请求，使其成为一个不会导致预检的简单请求...但是，如果请求是由于请求中存在Authorization标头而触发预检的请求，则无法使用上述步骤解决限制。除非您可以控制请求的服务器，否则您将根本无法解决它。...*通配符，则服务器也应Origin在Vary响应标头中包含信息-指示客户端服务器响应将基于Origin请求标头的值而有所不同。...请注意，在调用服务器时会为您设置这些标头。使用跨站点XMLHttpRequest功能的开发人员不必以编程方式设置任何跨域共享请求标头。
使用GET请求重定向 4XX 状态码 中文描述 400 客户端请求的语法错误，服务器无法理解 401 请求要求用户的身份认证 402 保留，将来使用 403 服务器理解请求客户端的请求，但是拒绝执行此请求...通过此代码，网站设计人员可设置"您所请求的资源无法找到"的个性页面 405 客户端请求中的方法被禁止 406 服务器无法根据客户端请求的内容特性完成请求 407 请求要求代理的身份认证，与401类似，但请求者应当使用代理进行授权...通常只会用在POST和PUT方法的请求中 Content-Type: text/html If-Modified-Since 把浏览器端缓存页面的最后修改时间发送到服务器去，服务器会把这个时间与服务器上实际文件的最后修改时间进行对比...:password”字符串的base64编码, 通常出现在对服务器发送的WWW-Authenticate头的应答中。...但是，对于Servlet来说，直接设置Refresh头更加方便。 注意Refresh的意义是"N秒之后刷新本页面或访问指定页面"，而不是"每隔N秒刷新本页面或访问指定页面"。
三、浏览器将HTTP请求发送到Web服务器 *可以肯定的是，浏览器不会从缓存中提供Facebook.com的主页，因为动态页面会很快或立即过期（将过期时间设置为过去），因此浏览器会向Facebook服务器发送以下请求...和Accept-Encoding标头）； （3）Connection标头要求服务器保持此TCP连接开放以便接下来的请求； （4）请求中还包括针对该域的Cookie，Cookie是键值对，在不同页面请求之间跟踪网站的状态...，因此Cookie会存储登录用户的名称，服务器分配给该用户的密码，用户的某些设置等，这些Cookie存储在客户端的文本文件中，并发送给服务器处理每个请求。...七、服务器发回HTML响应 这是服务器生成并发回的响应： image.png 该响应内容告诉浏览器： （1）响应体用gzip算法压缩，解压缩后即可看到所需的HTML； （2）Cache-Control标头指定是否以及如何缓存页面...十、浏览器发送进一步的异步（AJAX）请求 *即使呈现页面后，客户端仍然与服务器进行通信。
（生成响应数据包）发送到浏览器 web服务器关闭连接HTTPS通信过程 HTTPS通信过程 图片 客户端请求HTTPS，连接到服务器的443端口 采用HTTPS协议的服务器必须要有一套数字证书 服务器响应客户端请求...，将证书传递给客户端 客户端解析证书进行验证，如证书不是可信机构颁布会出现警告 客户端把加密后的随机码KEY发送到服务器作为后面对称加密的秘钥 服务器在收到KEY之后会使用私钥B解密。...410 （已删除） 如果请求的资源已永久删除，服务器就会返回此响应。 411 （需要有效长度）服务器不接受不含有效内容长度标头字段的请求。...412 （未满足前提条件）服务器未满足请求者在请求中设置的其中一个前提条件。 413 （请求实体过大）服务器无法处理请求，因为请求实体过大，超出服务器的处理能力。...416 （请求范围不符合要求）如果页面无法提供请求的范围，则服务器会返回此状态代码。 417 （未满足期望值）服务器未满足"期望"请求标头字段的要求。
5.refresh头控制定时刷新 设置响应头Refresh为一个数值，指定多少秒后刷新当前页面 设置响应头Refresh为 3;url=/Day05/index.jsp...,指定多少秒后刷新到哪个页面 可以用来实现注册后“注册成功，3秒后跳转到主页”的功能 在HTML可以利用<meta http-equiv= “” content=””...当在地址栏重新输入地址时会用缓存，但是当刷新或重新开浏览器访问时会重新获得资源。...服务器端获取到发过来的请求参数默认使用ISO8859-1进行解码操作，中文一定有乱码问题 对于Post方式提交的数据，可以设置request.setCharacterEncoding...在forward之前输入到response缓冲区中的数据，如果已经被发送到了客户端，forward将失败，抛出异常 在forward之前输入到response缓冲区中的数据，但是还没有发送到客户端
它可以发送和接收各种格式的信息，包括JSON，XML，HTML和文本文件。AJAX最吸引人的特点是其“异步”特性，这意味着它可以与服务器通信，交换数据和更新页面，而不必刷新页面。...作为一项安全功能，默认情况下，您无法在第三方域上调用URL。请确保在所有页面上使用准确的域名，否则在致电时会出现“权限被拒绝”错误open()。...注意：如果要将请求发送到将返回XML而不是静态HTML文件的一段代码，则必须设置响应标头才能在Internet Explorer中工作。...注2：如果您未设置标头，Cache-Control:no-cache则浏览器将缓存响应并且从不重新提交请求，这给调试带来了挑战。...这样的想法是，某种服务器端脚本将使用新的时间戳不断更新文本文件，而我们的XHR代码将用于报告客户端的最新时间戳。 <!
，而这通常是由于标头解析不一致导致一台服务器使用请求的Content-Length，另一台服务器将消息视为分块消息，其实在不依赖于这两个问题的情况下我们也可以执行许多相同的攻击，在一些条件下后端服务器会忽略.../browser/client-side-desync/lab-client-side-desync 靶场介绍：此靶场易受客户端去同步攻击，因为服务器在向某些端点发出请求时会忽略Content-Length...en路径下 随后我们直接移除en再次回车发现还是会重定向到en中去，抓包后发现存在重定向 随后更改请求数据包的方法为POST并禁用Burpsuite的自动更新Content-Length头选项，设置Content-Length...，前端服务器将请求流式传输到后端，后端服务器在某些端点超时后不会关闭连接，现在你需要确定一个基于暂停的CL.0 desync向量，然后将一个请求偷偷发送到后端的/admin管理面板，然后删除用户carlos...，此时会出现以下响应 刷新靶场地址完成解题： 文末小结 本篇文章算是对请求走私系列文章的一个收尾，通过前面的文章我们可以了解到HTTP/1.1请求走私的主要原因是在HTTP/1.1中提供了两种不同的方法来指定
当网络服务器无法识别首选语言时，通常会使用特定Header。 也就是说，Accept-Language Header的关键是相关性。必须确保设置的语言符合数据目标域和客户端的IP位置。...换句话说，当从网络服务器发送到客户端时，如果服务器可以处理，就会确认可以压缩的信息。 使用该Header优化后它可以节省流量，从流量负载的角度来看，这对客户端和网络服务器来说都比较好。...客户端仍然会获得所需的信息，只是被压缩了。数据压缩后，网络服务器的流量小了，资源就节约下来了。...Pragma：指定“no-cache”值表示服务器必须返回一个刷新后的文档，即使它是代理服务器而且已经有了页面的本地拷贝。...但是，对于Servlet来说，直接设置Refresh头更加方便。注意Refresh的意义是“N秒之后刷新本页面或访问指定页面”，而不是“每隔N秒刷新本页面或访问指定页面”。
如果网页自请求者上次请求后再也没有更改过，您应当将服务器配置为返回此响应（称为 If-Modified-Since HTTP 标头）。...登录后，服务器可能会返回对页面的此响应。 403（已禁止） 服务器正在拒绝相应请求。...该代码与 404（未找到）代码类似，但在资源以前有但现在已经不复存在的情况下，有时会替代 404 代码出现。如果资源已永久删除，您应使用 301 指定资源的新位置。...411（需要有效长度） 服务器不会接受包含无效内容长度标头字段的请求。 412（未满足前提条件） 服务器未满足请求者在请求中设置的其中一个前提条件。...417（未满足期望值） 服务器未满足“期望”请求标头字段的要求。 5xx（服务器错误） 500（服务器内部错误） 服务器遇到错误，无法完成相应请求。
WWW-Authenticate:Basic标头使浏览器显示用户名和密码输入框 输入你的凭据后，它们随每个请求一起发送到标头中：Authorization: Basic dcdvcmQ= 1.png...因此，将令牌过期时间设置为非常小的值（例如 15 分钟）是非常重要的。 需要设置令牌刷新以在到期时自动发行令牌。 删除令牌的一种方法是创建一个将令牌列入黑名单的数据库。...流程 实现 OTP 的传统方式： 客户端发送用户名和密码 经过凭据验证后，服务器会生成一个随机代码，将其存储在服务端，然后将代码发送到受信任的系统 用户在受信任的系统上获取代码，然后在 Web 应用上重新输入它...服务器对照存储的代码验证输入的代码，并相应地授予访问权限 TOTP 如何工作： 客户端发送用户名和密码 经过凭据验证后，服务器会使用随机生成的种子生成随机代码，并将种子存储在服务端，然后将代码发送到受信任的系统...像谷歌验证器这样的 OTP 代理中，如果你丢失了恢复代码，则很难再次设置 OTP 代理 当受信任的设备不可用时（电池耗尽，网络错误等）会出现问题。
HTTP是可扩展的Section HTTP标头是HTTP / 1.0中引入的，使此协议易于扩展和试验。甚至可以通过客户端与服务器之间关于新标头语义的简单协议来引入新功能。...对于试图例如使用电子商务购物篮连贯地与某些页面进行交互的用户而言，这立即具有问题。但是，尽管HTTP本身的核心是无状态的，但HTTP cookie允许使用有状态会话。...身份验证 某些页面可能受到保护，因此只有特定用户才能访问它们。HTTP可以使用WWW-Authenticate和相似的标头提供基本身份验证，也可以使用HTTP cookie设置特定的会话。...现代版Fetch API提供了相同的功能，但功能更强大，更灵活。 另一个API，即服务器发送的事件，是一种单向服务，它允许服务器使用HTTP作为传输机制将事件发送到客户端。...结论Section HTTP是易于使用的可扩展协议。客户端-服务器结构与简单添加标头的功能相结合，使HTTP能够随着Web的扩展功能一起前进。
当您通过 HTTPS 提供一个包括 HTTP 资源的页面（称为混合内容）时会出现问题。 浏览器将警告用户，已失去 HTTPS 的全部能力。...通过此方式显式设计 HSTS 可确保网络攻击者无法欺骗客户端访问没有 HTTPS 的网站。在确认您的网站运营足够可靠之前，不要启用 HSTS，以避免部署 HTTPS 时总是出现证书验证错误。...通过设置 Strict-Transport-Security 标头来打开 HTTP 严格传输安全 (HSTS)。OWASP 的 HSTS 页面有说明链接，提供了针对各种服务器软件的说明。...为解决引用站点标头的各种问题，可使用新的引用站点政策标准。 由于各搜索引擎正在迁移到 HTTPS，将来，当您迁移到 HTTPS 时，可能会看到更多的引用站点标头。...Caution: 根据 HTTP RFC，如果引用页面是通过安全协议传输的，则客户端不能在（非安全）HTTP 请求中包括引用站点标头字段。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
即时通信 IM
ICP备案
对象存储
实时音视频
